Am 3. November stellt Microsoft in Entra ID eine Funktion ab, die in manchen Betrieben im Hintergrund Zugriffe steuert: die Regel «memberOf» für dynamische Gruppen. Microsoft hat das im August angekündigt und Anfang Oktober ein letztes Mal erinnert.
Das Bemerkenswerte ist nicht, dass eine Funktion verschwindet. Das geschieht bei Microsoft ständig, und es steht öffentlich auf einer Liste, die kaum jemand liest. Bemerkenswert ist, wie diese verschwindet.
Was eine dynamische Gruppe tut
In Entra ID, dem Benutzerverzeichnis hinter Microsoft 365, lassen sich Gruppen von Hand pflegen oder durch eine Regel. Bei einer dynamischen Gruppe steht eine Bedingung, etwa «Abteilung ist Buchhaltung», und Entra ID rechnet die Mitglieder laufend nach. Wer neu in der Buchhaltung anfängt, ist automatisch drin. Wer wechselt oder geht, ist automatisch draussen. An diesen Gruppen hängen Zugriffe auf Teams, SharePoint-Ablagen, Lizenzen und Anmelderegeln.
Die Regel «memberOf» ging einen Schritt weiter: Sie machte die Mitgliedschaft von der Mitgliedschaft in anderen Gruppen abhängig. Etwa «alle, die in der Gruppe Verkauf oder in der Gruppe Innendienst sind». Das war bequem. Es war aber nie eine fertige Funktion, sondern eine Vorschau, und Microsoft beendet sie jetzt mit der Begründung, sie könne die Berechnung im ganzen Mandanten bremsen.
Was am 3. November passiert
Nichts Sichtbares. Die Gruppen werden nicht gelöscht, und es erscheint keine Fehlermeldung. Laut Microsoft bleiben sie im zuletzt bekannten Zustand stehen. Sie hören einfach auf, sich zu ändern.
Was daraus folgt, schreibt Microsoft in der Ankündigung selbst: Neue Mitarbeitende bekommen womöglich nicht die Zugriffe und Lizenzen, die sie brauchen. Ausgeschiedene behalten womöglich ihre Zugriffe. Anmelderegeln arbeiten mit veralteten Mitgliedschaften, und Teams und SharePoint erhalten veraltete Angaben.
Am 3. November selbst merkt also niemand etwas. Der Fehler zeigt sich erst bei der nächsten Personaländerung, und das am schlechtesten bemerkte Ende ist auch das heikelste. Dass jemand Neues einen Ordner nicht öffnen kann, fällt am ersten Arbeitstag auf. Dass jemand, der gegangen ist, ihn noch öffnen kann, fällt niemandem auf.
Es ist dasselbe Muster wie bei der Anwendung, die nur quartalsweise läuft: Was keinen Fehler meldet, bleibt liegen.
Wer betroffen ist
Dynamische Gruppen setzen eine Lizenz für Entra ID P1 voraus, wie sie etwa in Microsoft 365 Business Premium enthalten ist. Wer kleinere Pakete nutzt, hat keine dynamischen Gruppen und ist nicht betroffen.
Wer dynamische Gruppen hat, sollte nachsehen, auch wenn er «memberOf» nie bewusst eingerichtet hat. Solche Regeln stammen oft vom IT-Partner, und niemand im Betrieb weiss, wie sie lauten.
Was bis zum 3. November zu tun ist
Nachsehen. Im Entra Admin Center lassen sich die Gruppen mit ihren Regeln exportieren. Jede Regel, in der «memberOf» vorkommt, ist betroffen. Verwaltungseinheiten und automatische Zuweisungen im Entitlement Management prüft man über die Microsoft-Schnittstelle Graph. Das ist eher etwas für grössere Umgebungen.
Ersetzen. Wo es geht, durch eine Regel, die auf Eigenschaften der Person schaut, etwa Abteilung oder Standort. Wo das nicht geht, empfiehlt Microsoft, auf von Hand gepflegte Mitgliedschaft umzustellen.
Danach prüfen. Nach der Umstellung stimmen die Mitglieder nicht automatisch. Microsoft empfiehlt ausdrücklich, Mitgliedschaften und daran hängende Anmelderegeln danach zu kontrollieren. Vor allem: Steht jemand drin, der nicht mehr im Betrieb ist?
Acht Tage sind knapp, aber ausreichend. Das Nachsehen ist in einem kleinen Mandanten schnell gemacht. Der Aufwand liegt im Ersetzen, und dafür muss man zuerst wissen, ob es überhaupt etwas zu ersetzen gibt.